Zoals gisteren aangekondigd heeft Microsoft een noodpatch uitgebracht voor het ASP.NET probleem, de update verhelpt echter in totaal vier kwetsbaarheden in alle ondersteunde versies van Windows. Het gaat om het ASP.NET lek waardoor webservers eenvoudig zijn plat te leggen, dat tijdens het Chaos Communication Congres werd onthuld, en drie direct aan Microsoft gerapporteerde lekken.

Er was gisteren verwarring ontstaan omdat Microsoft aangaf dat de update een ernstig Windows-lek zou verhelpen waardoor aanvallers hun rechten op het systeem konden verhogen. Daarbij verwees het naar de advisory van het ASP.NET probleem, dat alleen een Denial of Service was. De softwaregigant baseert de beoordeling van een patch altijd op de ernstigste kwetsbaarheid als er meerdere worden verholpen. Jonathan Ness van het Microsoft Security Response Center laat weten dat het de drie privaat gerapporteerde lekken al had gepatcht, toen het vierde DoS-lek werd aangekondigd. Uiteindelijk werd besloten om de vier lekken met dezelfde noodpatch op te lossen.

Accountnaam
In dit geval is dat CVE-2011-3416, ook bekend als het "ASP.Net Forms Authentication Bypass Vulnerability". Het probleem wordt veroorzaakt door de manier waarop het ASP.NET Framework speciaal geprepareerde gebruikersnamen authenticeert. Een aanvaller kan in dit geval de rechten van de aangevallen gebruiker overnemen, waaronder het uitvoeren van willekeurige opdrachten op de site.

Om de kwetsbaarheid te misbruiken moet de aanvaller een account op de ASP.NET applicatie registreren en de accountnaam van een aan te vallen gebruiker weten. De aanvaller kan dan een speciale webrequest maken aan de hand van de eerder geregistreerde gebruikersnaam om toegang tot het account van zijn slachtoffer te krijgen.

Overige lekken
Verder worden de hash collission DoS-aanval, een spoofing-lek in .NET Form Authentication en een Forms Authentication Ticket Caching-lek verholpen. Bij de laatste kwetsbaarheid is het ook mogelijk om de rechten te verhogen. Dit lek werd net als de Denial of Service-kwetsbaarheid als "important" bestempeld, omdat er interactie met het slachtoffer nodig is. Die zou bijvoorbeeld op een link in een e-mail of Instant Messenger bericht moeten klikken, waardoor een aanvaller uiteindelijk zijn rechten op de website kan verhogen.

Updaten kan via Windows Update en de Automatische Update functie. Microsoft stelt dat consumenten niet kwetsbaar zijn, tenzij ze een webserver op hun computer draaien. In totaal publiceerde Microsoft dit jaar 100 beveiligingsupdates en dichtte het 240 lekken.